2026-10-24 13:18:00 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

Citizen Lab 将半岛电视台零点击间谍软件感染追溯至定向网络广告

爱拍照的老李
爱拍照的老李

爱拍照的老李

2026年10月16日 09:00
湖北

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

导读

以色列间谍软件制造商Candiru向世界各国政府出售间谍软件产品，该公司通过普通网络广告向半岛电视台的设备植入了恶意程序，研究人员周四表示，此类攻击无需用户点击或进行其他任何操作。

这段隐藏的攻击代码在广告加载到屏幕上的瞬间就开始运行，而且在某些情况下，广告会在后台、未显示在可视区域的情况下加载。

多伦多大学公民实验室（Citizen Lab）的研究小组表示，这是首次公开从技术层面证实，雇佣兵间谍软件（即出售给政府的黑客工具）已通过定向广告植入到真实设备中。此前虽有公司泄露文件披露过这一手段，但从未在实际攻击中得到证实。

研究人员从一台设备上恢复了间谍软件本身，但未能找到用于攻破浏览器或应用程序以安装该软件的漏洞利用程序。首次入侵步骤是根据攻击的部署方式描述的，而非基于捕获的代码。

攻击的运作方式

这些广告由以色列公司 Discover-Tech 投放，该公司将自己伪装成一家普通的数字广告公司。研究人员发现，每则广告都包含一小段代码，当广告加载时，这段代码会悄悄将设备的广告标识符和互联网地址发送回 Discover-Tech 的服务器。

该服务器会判断设备是否属于目标对象。如果是，服务器会回传攻击代码供浏览器或应用运行；如果不是，服务器则不发送任何内容。由于广告本身不包含任何攻击代码，投放该广告的广告网络无法检测到任何有害内容。

公民实验室称，在半岛电视台，2024年和2025年至少有45台设备成为攻击目标，该机构高度确信这些攻击与Candiru有关。研究人员并未透露此次行动背后的政府是哪一方。

该网络向研究人员提供了流量日志。在受感染设备上，日志每次都显示相同的顺序：首先与Discover-Tech广告服务器建立连接，然后接入对设备进行筛查的Candiru服务器，最后连接运行间谍软件的命令与控制服务器。

半岛电视台还从一台被入侵的设备中提取了一个Windows程序文件。其代码采用了与公民实验室在2021年拆解的“Candiru”工具相同的独特技术，这也是确定二者高度关联的依据。

半岛电视台的工作人员此前曾遭遇过一次针对他们的攻击。2020年，该电视台数十名记者的iPhone手机遭NSO集团的飞马间谍软件入侵，这是一起采用不同手段的另一项攻击行动。

Discover-Tech 与 Candiru 是什么机构

从2020年到本月，谷歌和广告行业组织欧洲互动广告局（IAB Europe）均将Discover-Tech列为经批准的广告供应商。该公司于2020年在以色列注册，由首席执行官德克尔·博尼（Dekel Boni）执掌。

Candiru是间谍软件行业中较为知名的公司之一。美国于2021年将其列入贸易黑名单，原因是该公司的间谍软件被用于针对政府官员、记者和活动人士。2025年，其资产被美国投资公司诚信伙伴收购，并转入一家新公司，据报道名为诚信实验室，而相关制裁并不涵盖这家公司。

各平台的行动

公民实验室称，研究人员公布调查结果后，谷歌和欧洲互动广告局于10月初将Discover-Tech从其供应商名单中移除。谷歌切断了该公司访问其广告交易所的权限，Beeswax 也终止了合作，Vungle 暂停了访问以进行审查，Eskimi 则封禁了其账户。

谷歌告诉路透社，该公司已与研究人员合作，并以“系统性违反我们的政策”为由移除了Discover-Tech。欧洲互动广告局（IAB Europe）表示，在一次审计发现该公司存在政策违规行为后，其已暂停了该公司的运营。拥有Beeswax的康卡斯特（Comcast）表示，其采取行动是“鉴于近期发生的相关事件”。

恶意广告覆盖范围

公民实验室称，Discover-Tech 的影响范围远超半岛电视台。该机构表示，在2026年3月至6月期间，其旗下一个平台的广告出价接近40亿次，而带有隐藏回调代码的广告出现在约7.5万个手机应用程序和12万个网站上。

美国广告安全公司 Confiant 与公民实验室联合展开调查，该公司表示 Discover-Tech 的广告流量约为每天1000万条。

公民实验室称，这些广告出现在政府及大型机构的网络中，涉及北约、联合国、欧盟机构、约二十多个国家的政府部门、芯片制造商以及新闻机构。某一网络上出现广告并不能证明相关机构有人被感染，这只能说明该系统的传播范围有多广。

Confiant 公司发现，其能直接关联到 Candiru 的广告数量较少，且这些广告的投放量低，主要触达家庭和移动互联网用户，而非敏感网络本身。

防御者可检查的内容

两个组织都公布了与此次行动相关的网址和文件，因此防御方可以对其进行拦截，并检索自身的记录。员工可能看到过这些广告的组织（尤其是在报告中提及的网络上），可以排查攻击的连接顺序：设备先访问 Discover-Tech 广告服务器，接着访问 Candiru 筛选服务器，最后访问命令与控制服务器。

已公布的指示信息包括：

SHA-256（恢复的恶意软件样本）：255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8

域名（Discover-Tech 广告服务器）：mtrtb[.]com

完整列表：包括指挥与控制服务器在内的Confiant 报告中的指标。

安全研究人员多年来一直警告称，广告投放系统可能被用于此类用途。去年12月，泄露的文件将间谍软件制造商Intellexa与一款名为Aladdin的类似广告工具关联起来，不过目前尚未出现通过该工具实施的实际感染案例。

详细技术报告：

https://blog.confiant.com/p/adint-weaponized-ad-tech-for-zero-click-spyware-and-mass-identity-vacuuming

报告链接：

https://thehackernews.com/2026/10/citizen-lab-traces-zero-click-candiru.html

今日安全资讯速递

APT事件

Advanced Persistent Threat

Silent Lynx：与哈萨克斯坦有关联的黑客组织针对俄罗斯炼油厂及政府展开攻击

思科 Talos 和 Recorded Future 的研究人员发布了一份详细的论文，介绍了一个他们称为“沉默猞猁”（又称 UAT-6275、TAG-193）的威胁组织，该组织是一个总部位于哈萨克斯坦的网络间谍组织，在中亚地区开展间谍活动。

🔗https://securityaffairs.com/201003/apt/silent-lynx-kazakhstan-linked-hackers-target-russian-refinery-and-government.html

Citizen Lab 将半岛电视台零点击间谍软件感染追溯至定向网络广告

🔗https://thehackernews.com/2026/10/citizen-lab-traces-zero-click-candiru.html

一般威胁事件

General Threat Incidents

XWorm 泄露的构建工具如何将远程访问木马变成监控工具包

Netskope 在野外监测到四种 XWorm 版本、46 个插件以及用于定位、音频和浏览器实时控制的新工具，检测数量增长了三倍。

🔗https://securityaffairs.com/200910/malware/how-a-leaked-builder-of-xworm-turned-a-remote-access-trojan-into-a-surveillance-kit.html

黑客利用 Collabora 远程代码执行漏洞后门入侵 Nextcloud 服务器

攻击者正在利用 Nextcloud 的 Collabora Online - 内置 CODE Server 应用程序（richdocumentscode）中一个被标记为 CVE-2026-110447 的严重命令执行漏洞。

🔗https://www.bleepingcomputer.com/news/security/hackers-exploit-collabora-rce-flaw-to-backdoor-nextcloud-servers/

假日历邀请针对数千个组织的 Microsoft 凭证钓鱼活动

日历邀请是现代职场中最常规的消息之一。它进入收件箱，请求几秒钟的注意力，且很少受到质疑。攻击者深知这一点，他们现在正利用虚假会议邀请来窃取 Microsoft 账户凭据。

🔗https://blog.checkpoint.com/securing-user-and-access/fake-calendar-invites-target-thousands-of-organizations-in-microsoft-credential-phishing-campaign/

黑客劫持 D-Link, Ubiquiti 设备以转卖你的宽带网络

一场代理劫持攻击已影响34个国家的设备，攻击者通过商用住宅代理网络利用受害者的网络连接牟利。

🔗https://www.bleepingcomputer.com/news/security/hackers-hijack-d-link-ubiquiti-devices-to-resell-your-stolen-bandwidth/

伪造的 Arch Linux 软件包推送具有 root 权限的恶意软件

一名攻击者在Arch用户仓库（AUR）上传了恶意软件包，这些软件包伪装成两款热门辅助工具yay和paru。

🔗https://www.bleepingcomputer.com/news/security/fake-arch-linux-packages-push-malware-with-root-privileges/

全球联合打击行动捣毁支持 10 亿条钓鱼信息的犯罪网络

全球执法机构及合作伙伴捣毁了一个庞大的网络犯罪生态系统，该系统曾针对150个国家的75000多家机构发送了超过十亿条恶意信息。

🔗https://www.bleepingcomputer.com/news/security/global-takedown-hits-network-behind-1-billion-phishing-messages/

KGB RAT 木马具备摄像头监控、密码窃取功能，还配有“趣味”菜单来恐吓受害者

一款在黑客论坛上以每月仅150美元的价格售卖的Windows木马，承诺买家能获取受害者的摄像头、麦克风、键盘输入内容以及保存的密码，还配备了一系列能让屏幕另一端的人感到恐惧的功能。

🔗https://www.helpnetsecurity.com/2026/10/15/kgb-rat-windows-trojan-webcam-spying-password-theft/

2026 年 8 起重大数据泄露：数百万用户受影响，敏感数据泄露

探索 2026 年报告的 8 起重大数据泄露事件，其中包括 Canvas、DentaQuest 和 Medtronic。了解受影响人数及暴露的数据内容。

🔗https://www.esecurityplanet.com/threats/news-major-data-breaches-2026/

黑客利用ClickFix技巧和Python隧道为勒索软件攻击做系统准备

黑客正利用ClickFix相关手段在Windows系统上安装恶意软件加载程序和Python隧道，建立可支持勒索软件攻击的访问渠道。

🔗https://cybersecuritynews.com/hackers-use-clickfix/

漏洞事件

Vulnerability Incidents

1.Volexity 发现利用三个零日漏洞的隐秘 Ivanti VPN 攻击

Ivanti VPN 零日漏洞可让攻击者获取根权限、窃取凭据、逃避检测，并为更广泛的网络入侵做准备。

🔗https://securityaffairs.com/200895/hacking/volexity-uncovers-stealthy-ivanti-vpn-attack-using-three-zero-day-vulnerabilities.html

CISA 将 Palo Alto Networks PAN-OS、Ahsay AhsayCBS 和思科安全电子邮件网关漏洞添加至其已知被利用漏洞目录

美国网络安全和基础设施安全局（CISA）将 Palo Alto Networks PAN-OS、Ahsay AhsayCBS 和 Cisco Secure Email Gateway 漏洞添加到其已知被利用漏洞目录中。

🔗https://securityaffairs.com/201041/security/u-s-cisa-adds-palo-alto-networks-pan-os-ahsay-ahsaycbs-and-cisco-secure-email-gateway-flaws-to-its-known-exploited-vulnerabilities-catalog.html